Wat je vastlegt vóór herstel van een fail-safe-PLC-CPU in de machine

Een fail-safe-CPU, meestal geschreven als F-CPU, draait twee programma's tegelijk: het normale besturingsprogramma en een apart veiligheidsprogramma dat de runtime van de fabrikant geïsoleerd houdt. Je haalt een CPU eruit, leest de familie en het nummer, en alles lijkt standaard. Dan weigert de machine een veiligheidsprogramma te accepteren. Dat is de fail-safe-val.

Vergroot systeemdiagram

×

De scheiding is functioneel, niet fysiek: beide programma's draaien op hetzelfde exemplaar, maar de veiligheidskant is geïsoleerd door de runtime.

Siemens levert fail-safe-varianten binnen de families S7-1200F en S7-1500F, en de F-markering staat in het bestelnummer en op het huislabel. De hardware kondigt het verschil niet vanzelf aan, dus de markering is het eerste wat je controleert en het eerste wat je vastlegt. Eén teken extra in het bestelnummer scheidt een exemplaar dat een veiligheidsproject accepteert van één die dat niet kan.

De twee programma's blijven vanuit het ontwerp gescheiden. Het veiligheidsprogramma draait onder eigen runtime-regels, en het standaardprogramma kan het niet wijzigen. Die isolatie is waarom een standaard-CPU niet zomaar met een veiligheidsproject geladen kan worden, en waarom de F-status elke herstelvraag daarna vormgeeft.

Je kunt de F-markering zien zonder iets te openen. In Siemens-bestelnummers staat de fail-safe-capaciteit in de referentie zelf, en het huislabel draagt de markering ook. De engineeringtool toont haar ook, zodra het apparaat op het netwerk staat. Wat je niet kunt doen is haar afleiden uit het machinegedrag, want een standaard-CPU kan hetzelfde proces draaien tot op het moment dat iemand een veiligheidsproject probeert te laden. De markering is een gedrukt feit, dus behandel haar zo en lees haar.

De markering verandert wat een matchende referentie moet omvatten. Twee CPU's met hetzelfde basisnummer kunnen verschillen in of ze überhaupt een veiligheidsprogramma accepteren, en die capaciteit is gebonden aan het specifieke exemplaar en zijn configuratie. Daarom hoort de F-status in de eerste regel van je dossier, vóór de revisie of de foto's.

Vergroot systeemdiagram

×

Het basisnummer opent de deur, maar het F-dossier beslist wat er doorheen mag. Dit is een functionele check, geen bedradingscheck.

Het veiligheidsprogramma en zijn F-configuratie, de instellingen die de veiligheidsfunctie aan het exemplaar binden, zijn op een tweede manier deel van de identiteit. Een exemplaar met het juiste bestelnummer kan nog weigeren een veiligheidsproject te draaien als de configuratie niet matcht wat het project verwacht. Geen enkele typeplaatwaarde bewijst dat een vervanging het project accepteert. Dat bewijs moet worden vastgelegd, nooit aangenomen. De F-modulelijst beschermt de beoordeling ook voor een tweede val: een vervangende CPU die op papier compleet lijkt terwijl de geconfigureerde set eromheen niet vastgelegd blijft.

De aangesloten fail-safe-I/O-modules, de F-modules, horen bij dezelfde geconfigureerde set. Een F-CPU en haar F-IO worden samen in het project geconfigureerd, en een wijziging aan elk lid van die set kan vereisen dat het veiligheidsprogramma opnieuw wordt gevalideerd. De matchvraag stopt dus nooit bij de CPU; ze loopt door naar elke F-module eromheen. Het onderscheid is van buiten de schakelkast onzichtbaar, en daarom weegt de gedrukte markering zo zwaar.

Voor een aanvraag is de praktische consequentie de reikwijdte. Zeg dat de CPU in een fail-safe-toepassing zit, ook als je vraag alleen over de CPU gaat, want de beoordelaar kan pas weten of de F-modules eromheen deel van de vraag zijn als jij het zegt. Een beoordelaar die halverwege over de F-modules hoort, moet de intake heropenen, en de F-modulereferenties die je eerder noemde worden de reden dat dat niet nodig was.

Leg het volledige bestelnummer met zijn F-markering vast, de firmwareversie zoals gedrukt en de hardwaregeneratie. Fotografeer het typeplaatje en elke veiligheidsgerelateerde etikettering in de schakelkast, inclusief borden of documenten die de veiligheidsfunctie noemen die de CPU dient. Foto's dragen de formulering letterlijk, en geparaphraseerde veiligheidslabels verliezen hun betekenis in een dossier. Twee labelbronnen voor hetzelfde exemplaar zijn normaal, en elk gefotografeerd label is één detail minder dat uit het geheugen wordt gereconstrueerd.

Vergroot systeemdiagram

×

Vier dossiergroepen voeden het pakket. Elk beantwoordt een vraag die een beoordelaar anders twee keer moet stellen.

Som de aangesloten F-modules op met hun eigen referenties. Noem elke F-module, zijn slot- of stationpositie en zijn volledige bestelnummer, op dezelfde manier waarop je de CPU zelf vastlegde. Waar de modules zitten telt, want de revalidatievraag volgt de bedrading.

Bestaat er een projectback-up, leg dan de versie van het veiligheidsprogramma vast en waar de back-up is opgeslagen, naast de versie van het standaardprogramma. De twee versies kunnen verschillen, en een beoordelaar heeft beide nodig om te beoordelen wat een hersteld exemplaar werkelijk zou draaien. Bestaat er geen back-up, schrijf dat feit dan in het dossier, want het verandert elke herstelroute die volgt. De opslaglocatie telt even zwaar als de versie; een back-up die niemand kan vinden gedraagt zich als een ontbrekende.

Veiligheidsetikettering verdient een gerichte ronde. Zoek naar waarschuwingsborden aan de kastdeur, documentatiezakken en elk bord dat de veiligheidsfunctie noemt die de CPU dient, en fotografeer wat je vindt. Die items dragen de formulering waarmee veiligheidsbeoordelaars werken, en een parafrase in je notities kan die niet reproduceren. Is niets gelabeld, leg die afwezigheid dan vast als feit, want ze vertelt de beoordelaar hoeveel van de veiligheidscontext niet gedocumenteerd is.

Dateer elke invoer en houd het pakket feitelijk. Meningen over wat een storing waarschijnlijk veroorzaakte, of wat een leverancier misschien nog kan leveren, horen niet naast gemeten feiten. De datum maakt van een claim een registratie, want een feit zonder datum is nergens tegen te hercontroleren.

Vergroot systeemdiagram

×

Vertrouwen komt uit drie velden per regel. Benoemde leemtes zijn deel van het bewijs, geen falen van het dossier.

Een gedateerd, gebronnen pakket laat de volgende persoon elke regel verifiëren in plaats van haar opnieuw af te leiden. Elke waarde hoort haar bron te dragen: typeplaatje, engineeringtool of projectbestand. Twee bronnen heten niet met elkaar, leg dan beide uitlezingen vast in plaats van ze te middelen, en laat de beoordeling het conflict oplossen.

Dezelfde discipline geldt voor leemtes. Een onbekende firmwaretoestand of een ontbrekende back-up is een feit over het dossier, en dat openlijk benoemen is sterker bewijs dan gokken. De leemtes vertellen de beoordelaar ook welke identificatiestappen eerst herhaald moeten worden.

Twee bronnen heten niet met elkaar: leg beide uitlezingen vast met hun bronnen en data, en laat het oordeel aan de beoordeling. Een firmwarewaarde uit de engineeringtool en een andere uit een stuklijst zijn een normale bevinding in een verouderend bedrijf, en stilletjes één kiezen maakt van je dossier een claim. Twee vastgelegde uitlezingen zijn bewijs; één gekozen uitlezing is een mening. De beoordelaar lost het conflict één keer op, met de bronnen voor zich, in plaats van het twee keer te ontdekken.

Een fail-safe-CPU is niet alleen een vraag om een gelijkwaardige ruil. Veiligheidsgerelateerd werk hoort bij bevoegd personeel onder de regels die voor de machine gelden, en geen catalogusitem, datablad of leveranciersclaim verandert daaraan. Het bewijspakket is een invoer voor dat werk, geen vervanging ervan.

Vergroot systeemdiagram

×

Het pakket eindigt waar veiligheidsbevoegdheid begint. Pijlen tonen de overdracht van vragen, niet de overdracht van werk.

Leg vast wat je weet en benoem wat je niet weet, en stuur dan de vragen over het veiligheidsprogramma naar de mensen die verantwoordelijk zijn voor de machine. Een dossier dat zijn leemtes openlijk benoemt is nuttiger voor een beoordelaar dan één die ze overschildert. Bestaat een leemte, zeg dan wie haar normaal sluit en met welk gereedschap.

Behandel compatibiliteit en uitkomsten als open vragen in de aanvraag. Of een specifieke vervanging het bestaande veiligheidsproject accepteert, en of een reparatie de F-configuratie kan behouden, zijn beslissingen voor de beoordeling met de verantwoordelijken, ondersteund door jouw bewijs. Onzekerheid is hier normaal, en haar benoemen houdt een veiligheidsherstel eerlijk.

• Leg het bestelnummer met zijn F-markering vast, de firmwareversie en de hardwaregeneratie.
• Som elke aangesloten fail-safe-I/O-module op met zijn eigen referentie en positie.
• Leg beide programmaversies vast, of zeg ondubbelzinnig dat er geen back-up bestaat.
• Werk aan het veiligheidsprogramma gaat naar bevoegd personeel. Benoem die grens in de aanvraag.

• de categoriepagina voor PLC-CPU's
• de uitleg van de typeplaatvelden
• het bewijspakket voor een PLC-aanvraag